ggfuchsi-oss/spectrida-reverse_engineering_stackتحليل ثنائي متوازٍ باستخدام IDA Pro مع تسمية وظائف مدعومة بالذكاء الاصطناعي، ورسم بياني معرفي من Neo4j، ومحرك محاكاة/ربط/تشويش phantomrt للهندسة العكسية الآلية عبر صيغ PE وELF وNSO.
شبح عبر الثنائيات.
مساعد محلي لعكس الهندسة يعمل بالذكاء الاصطناعي: تحليل موازٍ باستخدام IDA Pro، تسمية وظائف بالذكاء الاصطناعي، طرفية لا تخذلك، رسم بياني معرفي Neo4j لكل شيء اكتشفه على الإطلاق، وخادم MCP يتيح لـ Claude البحث والتسلسل عبر هذا الرسم البياني مباشرة.
والآن — مع phantomrt — لم يعد يقرأ الجدران فحسب. بل يمشي عبرها: يحاكي، ويعترض، ويُخربش الوظائف التي سمّاها، ويكتب ما يحدث فعليًا مرة أخرى على الرسم البياني.
✓ 00 ✓ 01 ✓ 02 ✓ 03 ▸ 04 · 05 · 06 · 07 ✓ 08 ✓ 09 ✓ 10 ✓ 11 ✓ 12 ✓ 13 ▸ 14 · 15
14/16 shards │ 141,203 functions found ████████████████████████████░░░░ 89% ~4s remaining
---
## ما هو
التحليل التلقائي لـ IDA Pro هو ذو خيط واحد (single-threaded). على ملف il2cpp DLL بحجم 34 ميجابايت، قد يستغرق ذلك *دقائق*. يقوم spectrIDA بتقسيم الملف الثنائي إلى N من الأجزاء (shards)، وتشغيلها بالتوازي عبر idalib، ثم دمجها في ملف `.i64` واحد، ثم يترك نموذجًا مضبوطًا بدقة بحجم 8 مليار معلمة **لتسمية كل دالة** — كل ذلك من واجهة طرفية واحدة (terminal UI) ذات طابع سايبربانك وقدر مناسب من السخرية.
هذا هو الفصل الأول، وهو قائم بذاته: سرعة خالصة، لا حاجة للذكاء الاصطناعي إذا كنت لا تريده.
يحول الفصل الثاني المخرجات إلى شيء يعمر بعد الجلسة — رسم بياني في Neo4j يمكن لعميل MCP (Claude، [pi](https://pi.dev)، أو أي شيء يتحدث بلغة MCP) أن يعيش فيه بالفعل، بدلاً من أن تقوم بنسخ ولصق مخرجات المفكك (decompiler) في نافذة الدردشة دالةً تلو الأخرى:```
Binary ─▶ Parallel IDA Analysis ─▶ Demangle ─▶ AI Naming ─▶ Neo4j Graph ─▶ MCP Server ─▶ Claude
(N idalib shards) (free, real) (stripped (persists, (search/chain/
leftovers forever, rename, live)
only) across sessions)
الفصل الثالث (phantomrt) يضيف النصف الذي لا تمتلكه الأدوات الثابتة أبدًا: فهو يشغِّل الكود. يحاكي دالة بدون نظام تشغيل (يعمل على ملفات ثنائية لا يمكنك حتى تشغيلها، مثل .nso للسويتش)، أو يربط العملية الحية، أو يختبرها عشوائيًا — ويطبع الحكم (تعطل / يحتاج حالة حية / نظيف) على نفس عقدة الرسم البياني مع الاسم.
الملخص الكامل، بما في ذلك ما لا يزال في قائمة المهام، موجود بالأسفل في الفصل الثاني و الفصل الثالث.
إنها ليست Ghidra. تقوم بشيء واحد مزعج (تحليل بطيء + تسمية) بسرعة، ومن الممتع حقًا استخدامها. 199 تنزيلًا يتحدث عن نفسه.
لا سحابة. لا تتبع. يعمل بالكامل على جهازك.
| المهمة | الوقت |
|---|---|
| DLL لعبة Among Us — IDA أحادي الخيط | ~4 ساعات |
| DLL لعبة Among Us — spectrIDA (16 عاملاً) | 67 ثانية |
| ملف ثنائي بـ153,649 دالة — شاملة لتسمية كاملة | ليلة كاملة |
| نظرة عامة على الملف الثنائي (ماذا يفعل هذا الشيء؟) | ~30 ثانية |
العتاد الذي قيست عليه هذه الأرقام: AMD Ryzen 7 5800X3D (8C/16T)، 32 جيجابايت RAM، RTX 4070 12 جيجابايت.
العتاد المختلف يغير أرقام التحليل المتوازي (أنوية أكثر، شرائح أكثر، أسرع)؛
أرقام التسمية مرتبطة في الغالب بوحدة معالجة الرسوميات. أرقام 4 ساعات/67 ثانية للعبة Among Us سبقت الفصل الثاني
ولم يتم إعادة التحقق منها بشكل مستقل في كل إصدار — أعد تشغيل spectrida analyze بنفسك إذا
كنت تريد رقمًا لجهازك وملفك الثنائي، النتائج تختلف مع كثافة الشرائح وحجم الملف الثنائي.
الأرقام التي أعيد التحقق منها بالفعل أثناء تطوير الفصل الثاني، على نفس العتاد:
| الملف الثنائي | الدوال | المهمة | الوقت / النتيجة |
|---|---|---|---|
| test_small.dll (PE) | 189 | تحليل متوازي، 4 عمال، واجهة سطر أوامر | 6.4 ثوانٍ |
| test_small.dll (PE) | 164 | خط أنابيب MCP كامل (تحليل + فك تسمية + كتابة رسم بياني) | 9.8 ثوانٍ |
| main.nso — Mario Odyssey (NSO)، 16 عاملاً | 28,038 دالة أولية | مرحلة المسح المجزأ المتوازي | 54.5 ثانية |
| main.nso — Mario Odyssey (NSO)، 16 عاملاً | 74,790 دالة إجمالية | + مرحلة الدمج/التحليل الكامل | 143.1 ثانية |
| main.nso — Mario Odyssey (NSO)، 16 عاملاً | 74,790 دالة إجمالية | الوقت المستغرق من البداية للنهاية | 197.6 ثانية |
| main.nso — Mario Odyssey (NSO) | 74,790 | تم حلها عبر فك التسمية وحده (واجهة Itanium ABI، مجانية، بدون ذكاء اصطناعي) | 67,300 (90.0%) |
هذا الصف الخاص بـNSO هو المعادل الحقيقي للادعاء القديم "4 ساعات → 67 ثانية" الخاص بلعبة Among Us،
تم قياسه حديثًا في هذا الإصدار على ملف ثنائي للسويتش بـ74,790 دالة، بدون تسمية بالذكاء الاصطناعي (فك تسمية فقط — populate=False). المرحلة المتوازية (16 نواة، ~55 ثانية) تقوم بالاكتشاف المجزأ الأولي؛
مرحلة الدمج (~143 ثانية) هي أحادية الخيط حسب التصميم — قاعدة بيانات IDA واحدة، كاتب واحد — لذا إذا شاهدت
مدير المهام خلال ذلك الجزء ورأيت 15 نواة في وضع السكون، فهذا ليس تقرير خطأ، بل فيزياء.
الحصول على رقم صادق هنا كان قصة رعب صغيرة بحد ذاتها. الإصدار الأول من دعم NSO عمل بشكل نظيف، خرج برمز 0، وأعاد بفخر 727 دالة لملف ثنائي يحتوي على حوالي 75,000 منها — ليس تعطلًا، بل مجرد خطأ فادح وواثق، وهو أسوأ بطريقة ما. تبين أن IDA ليس لديه أداة تحميل أصلية لـNSO، لذا تم تحميل الملف بصمت على أنه x86 عادي ("metapc") على الرغم من أن السويتش يعمل بـARM64 منذ إطلاق الصندوق. كل شريحة قامت بتشغيل ماسح مقدمة x86 ضد تعليمات AArch64 خالصة وسمت أي شيء صادفته بالخطأ كـ"دالة." إصلاح المعمارية لم يصلح شيئًا بمفرده، لأن الملف الثنائي كان أيضًا لا يزال مضغوطًا بـLZ4 في الذاكرة — لذا نصف ما تم مسحه كان، بتسامح، ضوضاء. وحتى بعد فك الضغط بشكل صحيح ووضع علامة AArch64، كل شريحة كانت تبحث فقط عن أهداف استدعاء ضمن شريحتها الصغيرة من الملف الثنائي، مما يفقد كل استدعاء يعبر حدود الشريحة — وفي ملف ثنائي بهذا الحجم، هذا هو معظمها. ثلاثة أخطاء، رقم واحد، ولم يكن لأي منها اللطف في إلقاء استثناء. (حاولنا أيضًا تقليص مرحلة الدمج عن طريق تخطي تحليل إطار المكدس الخاص بـIDA — حصلنا على تسارع جميل وقاعدة بيانات حيث رفضت Hex-Rays بلطف فك ترجمة نصفها. تم التراجع عن ذلك بسرعة. أبقينا على تخطي توقيعات FLIRT الأصغر بكثير والأكثر أمانًا، والذي يساوي حوالي ~3% غير مهم ولم يكسر شيئًا، والذي شعرنا في هذه المرحلة بأنه سمة شخصية تستحق الاحتفاظ بها.)
حول دقة التسمية: ليست حقيقة أرضية بمستوى Ghidra، إنها نموذج 8B يخمن من الشيفرة الزائفة.
المساعدات العامة/الدوال الجالبة تميل إلى أن تكون جيدة؛ المنطق المرتبط باللعبة بعمق هو أكثر من مجرد رمي عملة.
أعد تسمية أي شيء يخطئ فيه — لهذا السبب يستمر rename_function مباشرة في الرسم البياني.